WASC Project (Ruscripto 2010)

Web Application Security ConsortiumПерспективы развития

Сергей Гордейчик

Positive Technologies

Что такое WASC?

Web Application Security Consortium (WASC)

Международная некоммерческая организация, объединяющая экспертов-профессионалов в области безопасности веб-приложений.

Миссия: Разрабатывать, адаптировать и пропагандировать стандарты в области безопасности веб-приложений

Web-сайтhttp://www.webappsec.org/ Wiki http://projects.webappsec.org/Список рассылкиwebsecurity-subscribe@webappsec.org

WASC в лицах

Персоналии

…/Robert Auger/Jeremiah Grossman/Romain Gaucher/Amit Klein/Steve Orrin/Bill Pennington/Ivan Ristic/Ory Segal/Ofer Shezaf/Caleb Sima/…

Компании

.../PayPal/WhiteHat Security/Breach Security/Finjan/NT OBJECTives, Inc./Positive Technologies/Application Security, Inc./Intel/Thinking Stone (ModSecurity)/IBM/SPI Dynamics/HP/KPMG/Microsoft/...

Структура WASC

Officers

Project Leaders

Project Leaders

Project Leaders

Project Teams

Community

Роли и задачи

Officers• Общая координация, развитие и инициация

новых проектов

Project leaders• Управление и координация проектов

Project teams• Собственно работа

Текущие проекты

Классификация• The WASC Threat Classification• The Web Security Glossary

Анализ рисков/метрики• Web Application Security Statistics• The Web Hacking Incident Database

Оценка средств защиты (РД)• The Web Application Security Scanner Evaluation Criteria

(WASSEC) • The Web Application Firewall Evaluation Criteria (WAFEC)

Исследования• Script Mapping• Distributed Open Proxy Honeypots

The WASC Threat Classification

Классификация атак и уязвимостей веб-приложений

Наиболее полная на настоящий момент классификация

Различные группировки уязвимостей

Связь с другими стандартами (OWASP/CWE)

Более 3 лет разработки второй версии

Web Application Security Statistics

Анализ результатов работ в области оценки защищенности веб (черный ящик, белый ящик, сканирования)

The Web Hacking Incident Database

Сбор и обработка публичных последствий инцидентов (СМИ, расследование уголовных дел, интернет)

Классификация, учет последствий

Distributed Open Proxy Honeypots

Сеть открытых HTTP-прокси (с некоторыми ограничениями)

Анализ поведения злоумышленников

Отслеживание бот-сетей (веб-спам)

Использование WASC 1/2

WASC WATC IBM (AppScan) HP (Webinspect) WhiteHat Security (Sentinel) Positive Technologies (MaxPatrol) and Services Qualys (QualysGuard Web Application Scanning) F5 (Application Security Manager) HoneyApps (Conduit) OWASP (OWASP Code Crawler 2.5 and OWASP

ModSecurity Core Rule Set Project) Verizon (Verizon Incidents Metrics Framework)

WASC SS/WHID Анализ рисков Пугающие presale-презентации

Использование WASC 2/2

WASSEC/WAFEC Критерии оценки средств защиты Требования/технические задания к системам NSS Lab Positive Technologies

Ближайшие задачи

Добавление/расширение контрмер в классификации угроз

Актуализация угроз

Объединение проектов, связанных с анализом рисков

Развитие WHID (поиск участников)

Разработка «метапроекта» - WASC User Guide

Присоединяйтесь!

Сергей Гордейчик

gordey@ptsecurity.ru

http://sgordey.blogspot.com